-
-
[原创]vmp分析还原插件（最新版）
-
发表于: 2018-8-11 22:58
-
我们看个vm代码的实例，使用最新版本加密
下面为一段正常的汇编代码，
我们把这个函数，代码块用vm加密，会变成下面这样
第一行jmp跳转到了一个地址 0045985d
我们看下这个地址的代码
指令1和指令2为标准的vm（虚拟代码）入口
我们跟进指令2 (call 0047b181)
这时我们看到的代码就是原代码的虚拟化代码，这时我们就可以使用插件分析了，
我们使eip停留在 0047b181、或者上一层的 0045985d(push指令)、00459862(call指令) ，
选择插件命令xx_vm => 初始化日志，会在od主目录下生成程序名称和日期的日志文件，必须操作
选择插件命令xx_vm => 开始分析，插件会自动分析vm代码，此时我们不用做任何操作，直到插件停止
此时eip会停留在一条 retn 指令上，这是退出虚拟化代码的最后一条指令，我们使用od的单步命令，
这时我们就完全跳出了vm代码
开始还原vm代码
打开od目录下的日志文件，日志文件有相应的程序名称和日期，打开后，我们看到了这样的代码
我们通过分析，成功的还原出原代码了。
=============================================================
vmp分析还原插件下载地址：xx_vm_inst_analyse
免费激活码：
GXVQF-TLM44-N9YM3-JZMN5
主页：xxdisasm.com
==============================================================
感概一下，在看雪学到很多东西，算是一点点回馈（免费的激活码），，能力有限哈。
==============================================================
附上vm还原视频，百度网盘和QQ群都有
百度网盘：https://pan.baidu.com/s/1eVhuEX0VmYZQklLtKZrSWw
QQ群：688465830
最后于 2018-8-20 11:29
被xxdisasm编辑
，原因：
